Coldcard ถูกแฮ็ก สูญหาย 1,359 BTC กลายเป็นคดีขโมยบิตคอยน์ใหญ่สุดปี 2026

BlockBeats รายงานวันที่ 3 สิงหาคม ระบุว่าข้อมูลล่าสุดชี้ว่าเหตุแฮ็กกระเป๋าฮาร์ดแวร์ Coldcard ทำให้บิตคอยน์ถูกขโมยรวม 1,359 BTC ผู้ใช้จำนวนหนึ่งยังรายงานปัญหาหลังติดตั้งอัปเดต เช่น เครื่องค้างที่หน้าแสดงข้อผิดพลาด บูตไม่ขึ้น หรือใช้งานไม่ได้เหมือนถูก "brick" เหตุการณ์นี้ถูกจัดเป็นการขโมยบิตคอยน์ครั้งใหญ่ที่สุดของปี BlockBeats สรุปไทม์ไลน์สำคัญดังนี้ การวิเคราะห์พบว่าโค้ดเฟิร์มแวร์ Coldcard ที่ถูกฝังปัญหาถูกปล่อยตั้งแต่เดือนมีนาคม 2021 ช่องโหว่คงอยู่ในโค้ดโอเพ่นซอร์สนานกว่า 5 ปี กระทบกระบวนการสร้าง seed ของรุ่น Mk3 (และบางส่วนของ Mk2) รวมถึงรุ่นถัดมา Mk4, Q และ Mk5 ก่อนจะมีการแก้ไข การโจมตีขนาดใหญ่ที่อาศัยช่องโหว่นี้ดำเนินมาจนถึงวันที่ 30 กรกฎาคม 2026 โดยในช่วงราว 25–41 นาที ผู้โจมตีใช้ระบบอัตโนมัติกวาดเหรียญจากที่อยู่ระดับหลายร้อยถึงหลายพันรายการ ในระยะแรกพบว่ากระเป๋าแบบ single-signature ราว 500 ใบ และ UTXO 1,324 รายการถูกเจาะ รวมราว 594.5 BTC ต่อมาการวิเคราะห์บนเชนขยายขอบเขตเป็นประมาณ 1,196 ที่อยู่ มูลค่า 1,082.65 BTC (ประเมินราว 70.2 ล้านดอลลาร์) รูปแบบธุรกรรมชี้ว่าผู้โจมตีให้ความสำคัญกับที่อยู่ที่มียอดคงเหลือสูง ใช้ค่าธรรมเนียมสูงแบบคงที่ ไม่มีเอาต์พุตเงินทอน และเร่งรวมเงินไปยังที่อยู่จำนวนไม่มากอย่างรวดเร็ว ต่อมา Coinkite ผู้พัฒนา Coldcard ออกคำแนะนำด้านความปลอดภัย ยืนยันเบื้องต้นว่าปัญหาการสร้าง seed กระทบ Mk3 (เฟิร์มแวร์ 4.0.1 ขึ้นไป) พร้อมแนะนำให้ผู้ที่ได้รับผลกระทบย้ายสินทรัพย์อย่างระมัดระวัง และตั้งข้อสังเกตว่าผู้โจมตีอาจใช้ AI ตรวจทานโค้ดโอเพ่นซอร์สเพื่อค้นหาช่องโหว่ จนถึงวันที่ 2 สิงหาคม Alex Thorn หัวหน้าฝ่ายวิจัยของ Galaxy ระบุว่าการโจมตีที่เกี่ยวข้องกับ Coldcard ยังพัฒนาอย่างต่อเนื่อง โดยเริ่มมีผู้โจมตีรายย่อยและกลุ่มเลียนแบบเพิ่มขึ้น เพื่อไล่ล่า mnemonic phrase ของ Coldcard ที่ยังเหลืออยู่ เหตุการณ์นี้ดึงความสนใจจากหลายฝ่าย Eric Balchunas นักวิเคราะห์ ETF อาวุโสของ Bloomberg เปิดเผยว่าทีม Coldcard มีพนักงานเพียง 5 คน ซึ่งถือว่าน้อยอย่างน่าประหลาดสำหรับบริษัทที่มีความสำคัญระดับนี้ ด้าน CZ ให้ความเห็นว่า "ในโมเดล self-custody ต่อให้นักพัฒนาแพตช์ช่องโหว่ได้ ก็ไม่สามารถแก้กระเป๋าที่สร้างไปแล้วได้ สำหรับผู้ใช้ที่ใช้อุปกรณ์แบบแยกขาด นักพัฒนาไม่สามารถติดต่อหรือแจ้งเตือนได้โดยตรง จนกว่าผู้ใช้จะลงมือเอง กระเป๋าที่ได้รับผลกระทบอาจยังเสี่ยงถูกโจมตี ผมสนับสนุน self-custody แต่ก็หมายถึงผู้ใช้ต้องรับผิดชอบความปลอดภัยของตัวเองทั้งหมด" ท่ามกลางความกังวลว่าเหตุการณ์อาจเกี่ยวข้องกับการใช้ AI เจาะอุปกรณ์เข้ารหัส แพลตฟอร์มรับฝากสินทรัพย์สถาบัน BitGo เป็นรายแรกที่ขยับเพื่อช่วยกู้ภาพลักษณ์อุตสาหกรรม วันที่ 1 สิงหาคม Mike Belshe ซีอีโอ BitGo โอน 100 BTC เข้าไปยังที่อยู่บิตคอยน์ที่สาธารณะเข้าถึงได้ และเชิญโมเดล Claude ของ Anthropic ลองพยายามย้ายเงินดังกล่าว โดยแพลตฟอร์มใช้เทคโนโลยี multisignature หรือ multiparty computation เพื่อกระจายอำนาจการลงนามไปยังคีย์อิสระหลายชุด ณ วันที่ 2 สิงหาคม Anthropic ยังไม่ได้ตอบรับความท้าทายนี้ต่อสาธารณะ ด้านราคา บิตคอยน์ยังอ่อนแรงตั้งแต่วันที่ 31 โดยปรับลงจาก 65,000 ดอลลาร์สู่ 63,000 ดอลลาร์